Come implementare le funzioni principali del NIST CSF 2.0 utilizzando l'AI

Panoramica

Imparerai come implementare ciascuna delle sei funzioni principali del NIST CSF 2.0—GOVERN, IDENTIFY, PROTECT, DETECT, RESPOND e RECOVER—utilizzando l'AI per accelerare la selezione dei controlli, lo sviluppo delle politiche e il raggiungimento degli obiettivi.

A chi è rivolto

Questa guida è per:

• Team di sicurezza che implementano specifiche Funzioni del NIST CSF
• Professionisti della conformità che traducono gli esiti del CSF in controlli operativi
• Manager IT che implementano tecnologie per raggiungere le Sottocategorie del CSF
• Responsabili della gestione del rischio che allineano le attività di cybersicurezza con gli obiettivi aziendali
• Consulenti che forniscono indicazioni specifiche per l'implementazione delle Funzioni ai clienti

Prima di iniziare

Dovresti avere:

• Un account ISMS Copilot con un workspace NIST CSF
• Completato i Profili Attuale e Obiettivo del NIST CSF
• Un'analisi delle lacune che identifica le Sottocategorie prioritarie per l'implementazione
• Sponsorizzazione esecutiva e allocazione delle risorse per l'implementazione
• Comprensione delle priorità di rischio e dei driver di conformità della tua organizzazione

Comprendere le sei Funzioni

Come le Funzioni lavorano insieme

Le sei Funzioni del NIST CSF 2.0 formano un programma di cybersicurezza integrato:

• GOVERN: Fondamento che informa tutte le altre Funzioni attraverso strategia, politica e gestione del rischio
• IDENTIFY: Comprensione degli asset, dei rischi e delle opportunità di miglioramento che guidano le priorità di PROTECT
• PROTECT: Salvaguardie che prevengono o riducono la probabilità e l'impatto di eventi avversi
• DETECT: Monitoraggio continuo che scopre attacchi e compromissioni
• RESPOND: Azioni di gestione degli incidenti per contenere e mitigare gli eventi di cybersicurezza
• RECOVER: Ripristino delle operazioni e dei servizi dopo gli incidenti

Implementazione di GOVERN (GV): Stabilire la governance della cybersicurezza

Panoramica della Funzione GOVERN

Nuova nel CSF 2.0, la Funzione GOVERN assicura che la gestione del rischio di cybersicurezza sia integrata con la gestione del rischio aziendale (ERM) e gli obiettivi di business. Include sei Categorie:

• GV.OC: Contesto Organizzativo
• GV.RM: Strategia di Gestione del Rischio
• GV.RR: Ruoli, Responsabilità e Autorità
• GV.PO: Politica
• GV.OV: Sorveglianza
• GV.SC: Gestione del Rischio della Catena di Fornitura di Cybersicurezza

Passaggi chiave per l'implementazione di GOVERN

1. Stabilire il contesto organizzativo (GV.OC):

   Nel tuo workspace NIST CSF, chiedi:

   "Aiutami a implementare NIST CSF GV.OC (Contesto Organizzativo). Crea documentazione per: GV.OC-01 (missione e obiettivi), GV.OC-02 (contesto interno/esterno), GV.OC-03 (requisiti legali e normativi), GV.OC-04 (obiettivi e attività critiche), GV.OC-05 (esiti e performance). La nostra organizzazione è [descrizione]."

2. Sviluppare la strategia di gestione del rischio (GV.RM):

   "Crea un documento di strategia di gestione del rischio di cybersicurezza allineato con NIST CSF GV.RM. Includi: GV.RM-01 (obiettivi di gestione del rischio), GV.RM-02 (appetito e tolleranza al rischio), GV.RM-03 (determinazione e priorizzazione del rischio), GV.RM-04 (allineamento con l'ERM), GV.RM-05 (comunicazione della strategia), GV.RM-06 (pianificazione strategica per i rischi emergenti). Adatta a [contesto organizzativo]."

3. Definire ruoli e responsabilità (GV.RR):

   "Definisci ruoli, responsabilità e autorità per la cybersicurezza secondo NIST CSF GV.RR. Includi: GV.RR-01 (responsabilità della leadership organizzativa), GV.RR-02 (ruoli e responsabilità definiti e comunicati), GV.RR-03 (risorse adeguate), GV.RR-04 (cybersicurezza integrata nelle pratiche HR). Crea una matrice RACI per le principali attività di sicurezza."

4. Stabilire politiche (GV.PO):

   "Crea un framework di politiche di sicurezza delle informazioni che soddisfi NIST CSF GV.PO. Affronta: GV.PO-01 (stabilimento e comunicazione delle politiche), GV.PO-02 (rinforzo delle politiche attraverso procedure). Includi una politica di sicurezza di alto livello e documenti di procedure di supporto per il controllo degli accessi, la protezione dei dati, la risposta agli incidenti, l'uso accettabile."

5. Implementare la sorveglianza (GV.OV):

   "Progetta meccanismi di sorveglianza della cybersicurezza secondo NIST CSF GV.OV. Includi: GV.OV-01 (comunicazione dei risultati della cybersicurezza alla leadership), GV.OV-02 (leadership monitora e dirige il rischio cyber), GV.OV-03 (sorveglianza coerente con la strategia di rischio). Crea modelli di dashboard, ordini del giorno per le revisioni della direzione e formati di reporting per il consiglio di amministrazione."

6. Stabilire la gestione del rischio della catena di fornitura (GV.SC):

   "Implementa la gestione del rischio della catena di fornitura di cybersicurezza secondo NIST CSF GV.SC. Affronta: GV.SC-01 (strategia di gestione del rischio della catena di fornitura), GV.SC-02 (fornitori conosciuti e prioritizzati), GV.SC-03 (contratti con requisiti di sicurezza), GV.SC-04 (fornitori monitorati), GV.SC-05 (risposta agli incidenti della catena di fornitura), GV.SC-06 (pratiche di sicurezza della catena di fornitura), GV.SC-07 (resilienza della catena di fornitura), GV.SC-08 (dati rilevanti condivisi), GV.SC-09 (meccanismi per la trasparenza della catena di fornitura)."

Implementazione di IDENTIFY (ID): Comprendere i rischi di cybersicurezza

Panoramica della Funzione IDENTIFY

La Funzione IDENTIFY si concentra sulla comprensione degli asset organizzativi, delle vulnerabilità e dei rischi. Include tre Categorie:

• ID.AM: Gestione degli Asset
• ID.RA: Valutazione del Rischio
• ID.IM: Miglioramento

Passaggi chiave per l'implementazione di IDENTIFY

1. Implementare la gestione degli asset (ID.AM):

   "Aiutami a implementare NIST CSF ID.AM (Gestione degli Asset). Crea processi per: ID.AM-01 (inventari hardware), ID.AM-02 (inventari software), ID.AM-03 (mappatura dei dati e dei flussi di dati), ID.AM-04 (sistemi esterni catalogati), ID.AM-05 (risorse prioritarie), ID.AM-07 (inventari mantenuti e aggiornati), ID.AM-08 (sistemi dismessi in modo sicuro). Raccomanda strumenti per la scoperta automatica degli asset e la gestione degli inventari."

2. Condurre valutazioni del rischio (ID.RA):

   "Progetta un programma di valutazione del rischio secondo NIST CSF ID.RA. Affronta: ID.RA-01 (vulnerabilità identificate e documentate), ID.RA-02 (intelligence sulle minacce ricevuta), ID.RA-03 (minacce interne ed esterne identificate), ID.RA-04 (impatti sulla fornitura dei servizi identificati), ID.RA-05 (minacce e vulnerabilità utilizzate per informare la determinazione del rischio), ID.RA-06 (risposte al rischio identificate e prioritarie), ID.RA-07 (cambiamenti ed eccezioni tracciati). Crea metodologia di valutazione del rischio, modelli e pianificazione."

3. Stabilire processi di miglioramento (ID.IM):

   "Implementa l'identificazione e la gestione dei miglioramenti secondo NIST CSF ID.IM. Includi: ID.IM-01 (miglioramenti derivanti da valutazioni del rischio, incidenti e attività), ID.IM-02 (piani di risposta e recupero testati), ID.IM-03 (lezioni apprese da risposta e recupero), ID.IM-04 (politiche, piani e procedure aggiornati). Progetta un flusso di lavoro per il miglioramento continuo e un meccanismo di tracciamento."

Implementazione di PROTECT (PR): Implementare salvaguardie di cybersicurezza

Panoramica della Funzione PROTECT

La Funzione PROTECT implementa salvaguardie per gestire i rischi di cybersicurezza. Include cinque Categorie:

• PR.AA: Gestione delle Identità, Autenticazione e Controllo degli Accessi
• PR.AT: Consapevolezza e Formazione
• PR.DS: Sicurezza dei Dati
• PR.IR: Sicurezza della Piattaforma (Resilienza dell'Infrastruttura nel CSF 1.1)
• PR.PS: Resilienza dell'Infrastruttura Tecnologica (Tecnologia Protettiva nel CSF 1.1)

Passaggi chiave per l'implementazione di PROTECT

1. Implementare il controllo delle identità e degli accessi (PR.AA):

   "Aiutami a implementare NIST CSF PR.AA (Gestione delle Identità, Autenticazione e Controllo degli Accessi). Affronta: PR.AA-01 (identità e credenziali gestite), PR.AA-02 (identità verificate e associate), PR.AA-03 (utenti, servizi e hardware autenticati), PR.AA-04 (asserzioni di identità protette), PR.AA-05 (permessi di accesso gestiti), PR.AA-06 (autenticazione e autorizzazione basate sul contesto). Raccomanda soluzioni IAM (Okta, Azure AD, AWS IAM) e linee guida di configurazione."

2. Stabilire consapevolezza e formazione (PR.AT):

   "Progetta un programma di consapevolezza e formazione sulla sicurezza secondo NIST CSF PR.AT. Includi: PR.AT-01 (personale informato e formato), PR.AT-02 (utenti privilegiati formati). Crea un curriculum di formazione che copra: consapevolezza del phishing, igiene delle password, gestione dei dati, segnalazione degli incidenti, uso accettabile. Includi formazione basata sui ruoli per amministratori, sviluppatori, dirigenti. Raccomanda piattaforme e contenuti di formazione."

3. Implementare la sicurezza dei dati (PR.DS):

   "Implementa controlli di sicurezza dei dati secondo NIST CSF PR.DS. Affronta: PR.DS-01 (dati a riposo protetti), PR.DS-02 (dati in transito protetti), PR.DS-10 (dati in uso protetti), PR.DS-11 (dati di backup protetti). Includi: standard di crittografia (AES-256, TLS 1.3), gestione delle chiavi, classificazione dei dati, strumenti DLP, procedure di backup. Mappa a tecnologie come BitLocker, AWS KMS, Veeam."

4. Proteggere le piattaforme (PR.IR):

   "Implementa la sicurezza delle piattaforme secondo NIST CSF PR.IR. Affronta: PR.IR-01 (reti e ambienti protetti), PR.IR-02 (tecnologia protetta), PR.IR-03 (baseline di configurazione di sicurezza stabilite), PR.IR-04 (tecnologia operativa protetta). Includi: segmentazione della rete, gestione delle vulnerabilità, hardening della configurazione (CIS Benchmarks), gestione delle patch, pratiche di sviluppo sicuro."

5. Costruire la resilienza tecnologica (PR.PS):

   "Implementa la resilienza dell'infrastruttura tecnologica secondo NIST CSF PR.PS. Includi: PR.PS-01 (disponibilità garantita), PR.PS-02 (eventi registrati), PR.PS-03 (eventi correlati), PR.PS-04 (asset tecnologici sviluppati in modo sicuro). Progetta un'architettura ad alta disponibilità, una strategia di logging (integrazione SIEM), processi di SDLC sicuri. Raccomanda tecnologie come load balancer, Splunk, GitLab CI/CD security."

Implementazione di DETECT (DE): Trovare e analizzare eventi di cybersicurezza

Panoramica della Funzione DETECT

La Funzione DETECT consente la scoperta e l'analisi tempestiva di anomalie e incidenti di cybersicurezza. Include due Categorie:

• DE.CM: Monitoraggio Continuo
• DE.AE: Analisi degli Eventi Avversi

Passaggi chiave per l'implementazione di DETECT

1. Implementare il monitoraggio continuo (DE.CM):

   "Aiutami a implementare NIST CSF DE.CM (Monitoraggio Continuo). Affronta: DE.CM-01 (reti e servizi di rete monitorati), DE.CM-02 (ambiente fisico monitorato), DE.CM-03 (attività del personale monitorata), DE.CM-06 (attività dei fornitori di servizi esterni monitorata), DE.CM-09 (hardware e software di elaborazione monitorati). Progetta un'architettura di monitoraggio con: analisi del traffico di rete (Zeek, Suricata), SIEM (Splunk, Sentinel), rilevamento degli endpoint (CrowdStrike, Microsoft Defender), monitoraggio cloud (CloudTrail, Azure Monitor)."

2. Stabilire l'analisi degli eventi avversi (DE.AE):

   "Implementa l'analisi degli eventi avversi secondo NIST CSF DE.AE. Includi: DE.AE-02 (eventi analizzati per comprendere obiettivi e metodi), DE.AE-03 (dati degli eventi aggregati e correlati), DE.AE-04 (impatto degli eventi determinato), DE.AE-06 (informazioni sugli eventi avversi condivise), DE.AE-07 (minacce e vulnerabilità rilevate), DE.AE-08 (incidenti dichiarati). Crea procedure SOC, casi d'uso per il rilevamento, flussi di lavoro per la triage degli avvisi, criteri per la dichiarazione degli incidenti."

3. Progettare casi d'uso per il rilevamento:

   "Crea casi d'uso per il rilevamento mappati al nostro modello di minaccia [descrivi le principali minacce]. Per ogni minaccia (ransomware, minaccia interna, compromissione della catena di fornitura, esfiltrazione dei dati), definisci: indicatori di compromissione (IOC), logica di rilevamento per il SIEM, modelli di comportamento di base, criteri di gravità degli avvisi, soglie di escalation. Formatta per l'implementazione in [piattaforma SIEM]."

Implementazione di RESPOND (RS): Agire sugli incidenti di cybersicurezza

Panoramica della Funzione RESPOND

La Funzione RESPOND supporta la gestione e il contenimento degli incidenti. Include cinque Categorie:

• RS.MA: Gestione degli Incidenti
• RS.AN: Analisi degli Incidenti
• RS.MI: Mitigazione degli Incidenti
• RS.RP: Segnalazione degli Incidenti
• RS.CO: Comunicazioni di Risposta agli Incidenti

Passaggi chiave per l'implementazione di RESPOND

1. Stabilire la gestione degli incidenti (RS.MA):

   "Aiutami a implementare NIST CSF RS.MA (Gestione degli Incidenti). Affronta: RS.MA-01 (piano di risposta agli incidenti eseguito), RS.MA-02 (segnalazioni di incidenti triage e prioritarie), RS.MA-03 (incidenti categorizzati), RS.MA-04 (incidenti escalati o elevati), RS.MA-05 (piano di risposta aggiornato in base alle lezioni apprese). Crea un piano di risposta agli incidenti che includa: definizione di incidente, classificazione della gravità, matrice di escalation, ruoli del team (RACI), playbook per scenari comuni."

2. Progettare l'analisi degli incidenti (RS.AN):

   "Implementa capacità di analisi degli incidenti secondo NIST CSF RS.AN. Includi: RS.AN-03 (dati e metadati degli incidenti raccolti e correlati), RS.AN-04 (impatto e portata dell'incidente compresi), RS.AN-06 (azioni eseguite durante l'indagine), RS.AN-07 (dati degli incidenti preservati), RS.AN-08 (dati degli incidenti analizzati). Crea procedure forensi, liste di controllo per la raccolta delle prove, moduli per la catena di custodia, strumenti di analisi (SIFT, Autopsy)."

3. Implementare capacità di mitigazione (RS.MI):

   "Progetta processi di mitigazione degli incidenti secondo NIST CSF RS.MI. Affronta: RS.MI-01 (incidenti contenuti), RS.MI-02 (incidenti eradicati). Crea playbook di contenimento per: ransomware (isolamento della rete, sospensione degli account), violazione dei dati (revoca dell'accesso ai dati, rotazione delle credenziali), DDoS (filtraggio del traffico, failover), minaccia interna (terminazione dell'accesso, preservazione delle prove)."

4. Stabilire la segnalazione (RS.RP):

   "Crea un framework di segnalazione degli incidenti secondo NIST CSF RS.RP. Includi: RS.RP-01 (requisiti di segnalazione compresi). Documenta: obblighi di segnalazione normativi (leggi sulla violazione dei dati, regolamenti di settore), coordinamento con le forze dell'ordine, requisiti di notifica ai clienti, segnalazione interna, requisiti di tempistica. Crea modelli di segnalazione e alberi decisionali."

5. Progettare le comunicazioni (RS.CO):

   "Implementa le comunicazioni di risposta agli incidenti secondo NIST CSF RS.CO. Affronta: RS.CO-02 (stakeholder interni ed esterni informati), RS.CO-03 (informazioni condivise con organizzazioni designate). Crea piani di comunicazione per: dirigenti, dipendenti, clienti, regolatori, forze dell'ordine, media, assicurazioni. Includi modelli per ogni pubblico."

Implementazione di RECOVER (RC): Ripristinare le operazioni dopo gli incidenti

Panoramica della Funzione RECOVER

La Funzione RECOVER supporta il ripristino delle operazioni e dei servizi dopo incidenti di cybersicurezza. Include tre Categorie:

• RC.RP: Esecuzione del Piano di Recupero dagli Incidenti
• RC.IM: Comunicazioni di Miglioramento del Recupero dagli Incidenti
• RC.CO: Comunicazioni di Recupero dagli Incidenti (Esterne)

Passaggi chiave per l'implementazione di RECOVER

1. Sviluppare piani di recupero (RC.RP):

   "Aiutami a implementare NIST CSF RC.RP (Esecuzione del Piano di Recupero dagli Incidenti). Affronta: RC.RP-01 (piano di recupero eseguito), RC.RP-03 (attività di recupero comunicate), RC.RP-05 (gestione dei fallimenti durante il recupero), RC.RP-06 (attività di ripristino prioritarie). Crea piani di recupero per: ransomware (ripristino dei backup, ricostruzione del sistema), violazione dei dati (rafforzamento della sicurezza, miglioramento del monitoraggio), guasto dell'infrastruttura (procedure di failover, ripristino dei servizi). Includi RTO e RPO."

2. Stabilire processi di miglioramento (RC.IM):

   "Implementa processi di miglioramento del recupero secondo NIST CSF RC.IM. Includi: RC.IM-01 (risposta e recupero aggiornati in base alle lezioni apprese), RC.IM-02 (strategie di risposta e recupero aggiornate). Progetta un processo di revisione post-incidente: tempistica (entro 7 giorni dalla chiusura), partecipanti (team dell'incidente, stakeholder), ordine del giorno (revisione della timeline, cosa ha funzionato/non ha funzionato, raccomandazioni), documentazione (rapporto post-mortem), follow-up (tracciamento delle azioni correttive)."

3. Progettare le comunicazioni di recupero (RC.CO):

   "Crea un framework di comunicazioni di recupero secondo NIST CSF RC.CO. Affronta: RC.CO-03 (attività di recupero comunicate agli stakeholder), RC.CO-04 (aggiornamenti pubblici sul recupero). Includi piani di comunicazione per: aggiornamenti di avanzamento alla leadership, notifiche di stato ai clienti, follow-up normativi, rapporti di trasparenza post-incidente. Crea modelli e flussi di lavoro di approvazione."

4. Testare le capacità di recupero:

   "Progetta un programma di test di recupero. Includi: test di ripristino dei backup (mensili), esercitazioni di disaster recovery (trimestrali), test di continuità operativa (annuali), esercitazioni specifiche per il ransomware. Per ogni tipo di test, fornisci: obiettivi, ambito, procedure, criteri di successo, requisiti di documentazione. Mappa a ID.IM-02 (piani di risposta e recupero testati)."

Creazione di roadmap di implementazione specifiche per Funzione

Prioritizzazione dell'implementazione delle Funzioni

Usa l'AI per sequenziare l'implementazione delle Funzioni in base al tuo profilo di rischio:

1. Prioritizzazione basata sul rischio:

   "In base ai nostri principali rischi di cybersicurezza [elenca i rischi con gravità], prioritizza l'implementazione delle Funzioni del NIST CSF. Per ogni rischio, identifica: Funzioni più critiche per la mitigazione, Sottocategorie specifiche da prioritizzare, sequenza di implementazione (quali Funzioni dipendono da altre), quick win (Sottocategorie ad alto impatto e basso sforzo)."

2. Roadmap con risorse limitate:

   "Crea una roadmap di implementazione del NIST CSF di 18 mesi con risorse limitate (budget: [importo], team: [dimensione]). Prioritizza: Fase 1 (mesi 1-6): GOVERN + IDENTIFY/PROTECT critici, Fase 2 (mesi 7-12): DETECT + PROTECT rimanente, Fase 3 (mesi 13-18): RESPOND + RECOVER + ottimizzazione. Includi traguardi, allocazione delle risorse, dipendenze."

3. Implementazione guidata dalla conformità:

   "Dobbiamo dimostrare l'allineamento con il NIST CSF per [contratto federale / audit del cliente / requisito normativo] entro 9 mesi. Quali Funzioni e Sottocategorie sono obbligatorie per la conformità? Crea un piano di implementazione accelerato concentrato sugli esiti indispensabili, posticipando le capacità opzionali alla Fase 2."

Misurare il successo dell'implementazione delle Funzioni

Metriche specifiche per Funzione

Traccia i progressi e l'efficacia per ogni Funzione:

1. Progettare un framework di misurazione:

   "Crea un framework di misurazione per l'implementazione delle Funzioni del NIST CSF. Per ogni Funzione (GOVERN, IDENTIFY, PROTECT, DETECT, RESPOND, RECOVER), definisci: metriche di implementazione (% Sottocategorie raggiunte), metriche di efficacia (esiti realizzati), indicatori anticipatori (progresso verso gli obiettivi), indicatori ritardatari (risultati effettivi). Includi fonti di dati e metodi di raccolta."

2. KPI specifici per Funzione:

   "Definisci KPI per misurare l'efficacia del NIST CSF. Esempi: GOVERN (decisioni di gestione del rischio prese, tasso di conformità alle politiche), IDENTIFY (% asset inventariati, valutazioni del rischio completate), PROTECT (% sistemi rafforzati, completamento della formazione), DETECT (tempo medio di rilevamento, tasso di falsi positivi), RESPOND (tempo medio di contenimento, accuratezza dell'escalation), RECOVER (tempo medio di recupero, raggiungimento di RTO/RPO)."

3. Progettazione della dashboard:

   "Progetta una dashboard esecutiva per il progresso dell'implementazione del NIST CSF. Includi: stato generale dell'implementazione (Profilo Attuale vs. Obiettivo), salute specifica per Funzione (rosso/giallo/verde), metriche chiave per Funzione, andamento della postura di rischio, incidenti recenti e recupero, traguardi imminenti. Formatta per il reporting trimestrale al consiglio di amministrazione."

Prossimi passi

Ora hai acquisito una guida completa per l'implementazione delle Funzioni:

• ✓ Comprensione di tutte e sei le Funzioni e dei loro scopi
• ✓ Implementazione di GOVERN per le basi della governance della cybersicurezza
• ✓ Implementazione di IDENTIFY per la comprensione degli asset e dei rischi
• ✓ Implementazione di PROTECT per l'implementazione delle salvaguardie
• ✓ Implementazione di DETECT per il monitoraggio continuo
• ✓ Implementazione di RESPOND per la gestione degli incidenti
• ✓ Implementazione di RECOVER per il ripristino delle operazioni
• ✓ Framework di misurazione per tracciare il successo

Continua a ottimizzare la tua implementazione del NIST CSF:

• [Come creare profili organizzativi NIST CSF utilizzando l'AI](/NIST CSF with AI) - Aggiorna i Profili man mano che implementi
• [Come mappare NIST CSF 2.0 ad altri framework utilizzando l'AI](/NIST CSF with AI) - Integra con altri sforzi di conformità
• Come eseguire valutazioni del rischio di conformità utilizzando ISMS Copilot - Gestione continua del rischio

Ottenere aiuto

• Esempi di Implementazione: Rivedi gli Esempi di Implementazione ufficiali del NIST per ogni Sottocategoria
• Guide Rapide: Accedi alle Guide Rapide specifiche per Funzione dal NIST
• Riferimenti Informativi: Esplora le mappature dei controlli per trovare tecnologie e pratiche specifiche per ogni Sottocategoria
• Profili di Comunità: Rivedi i profili specifici per settore che mostrano le priorità delle Funzioni per il tuo settore
• Chiedi a ISMS Copilot: Usa il tuo workspace per domande specifiche sull'implementazione delle Funzioni e raccomandazioni sui controlli
• Verifica le indicazioni: Confronta sempre i piani di implementazione generati dall'AI con le risorse ufficiali del NIST